CVE-2024-21643
Açıklama
.NET için IdentityModel Extensions, çağrının kimliğini belirlemek amacıyla federasyon kimlik sağlayıcılarını kullanmak isteyen web geliştiricileri için assembly'ler sağlar. `SignedHttpRequest` protokolünü veya `SignedHttpRequestValidator` bileşenini kullanan herkes risk altındadır. Microsoft.IdentityModel, `SignedHttpRequest` protokolü için varsayılan olarak `jku` talebine güvenir. Bu durum, herhangi bir uzak veya yerel `HTTP GET` isteği yapma olasılığını ortaya çıkarır. Zafiyet, Microsoft.IdentityModel.Protocols.SignedHttpRequest içerisinde giderilmiştir. Kullanıcılar tüm Microsoft.IdentityModel sürümlerini 7.1.2 (7x için) veya daha yükseğine ya da 6.34.0 (6x için) veya daha yükseğine güncellemelidir.
Nasıl düzeltilir
- microsoft identitymodel_extensions6.34.0, 7.1.2 ya da sonraki bir sürüm
- Microsoft.IdentityModel.Protocols.SignedHttpRequest6.34.0, 7.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft identitymodel_extensions | v < 6.34.0, 7.0.0 ≤ v < 7.1.2 | 6.34.0, 7.1.2 |
| Microsoft.IdentityModel.Protocols.SignedHttpRequestNuGet | v < 6.34.0, 7.0.0-preview ≤ v < 7.1.2 | 6.34.0, 7.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.